CVE-2026-54644

CubeCart elektron ticarət proqram təminatı həllidir. Versiya 6.7.5-dən əvvəl, classes/gui.class.php faylındakı _errorMessage metodu xəta, məlumat və xəbərdarlıq mesajlarında anchor elementlərinə icazə vermək üçün strip_tags funksiyasından istifadə edir, lakin təhlükəli href dəyərlərini və onclick hadisə idarəedicilərini saxlayır. GUI mesajına çatan hücumçu tərəfindən idarə olunan axtarış və ya giriş məlumatları filtr vasitəsilə javascript: URI və ya hadisə idarəedicisini ötürə bilər və render edilmiş anchor elementi ilə qarşılıqlı əlaqədə olduqda və ya ona baxdıqda qurbanın brauzer sessiyasında JavaScript icra olunur ki, bu da sessiyanın ifşa edilməsinə və ya tətbiqdə icazəsiz hərəkətlərin yerinə yetirilməsinə şərait yaradır. Bu problem 6.7.5 versiyasında düzəldilmişdir.